CVE-2026-104041: уязвимость в SSSD позволяет вызвать отказ в обслуживании через неограниченный рост негативного кэша
В SSSD обнаружена уязвимость среднего уровня опасности (CVSS 5.5), позволяющая непривилегированному локальному пользователю исчерпать память процесса-ответчика NSS путём многократных запросов несуществующих учётных записей. Проблема затрагивает Red Hat Enterprise Linux версий 6–10 и Red Hat OpenShift Container Platform 4. Успешная эксплуатация приводит к отказу в обслуживании.
Подробности
Уязвимость затрагивает SSSD в составе Red Hat Enterprise Linux 6, 7, 8, 9 и 10, а также Red Hat OpenShift Container Platform 4. Тип проблемы — отказ в обслуживании (Denial of Service) вследствие исчерпания памяти. Механизм эксплуатации основан на особенности работы негативного кэша. Когда пользователь или процесс запрашивает через отвечающую за разрешение имён службу Name Service Switch (NSS) сведения о записи, которой не существует, результат такого запроса кэшируется. При этом кэш не ограничивает общее число хранимых записей, а удаление устаревших элементов выполняется только при повторной проверке уже существующего ключа. В результате непривилегированный локальный пользователь может многократно запрашивать заведомо несуществующие учётные записи, провоцируя бесконтрольный рост кэша и, как следствие, неограниченное потребление памяти. Исчерпание памяти приводит к тому, что ответчик (responder) NSS перестаёт отвечать на запросы или аварийно завершается, вызывая отказ в обслуживании для всей системы, зависящей от разрешения имён через SSSD. Для эксплуатации достаточно локального доступа с минимальными привилегиями и отсутствия какой-либо аутентификации, что делает уязвимость практически значимой для многопользовательских и контейнерных сред.Что делать
Основная рекомендация — установить обновления SSSD, выпущенные производителем для соответствующих версий Red Hat Enterprise Linux и OpenShift Container Platform. Перед обновлением следует свериться с официальными бюллетенями безопасности Red Hat, чтобы убедиться в наличии исправления именно для вашей ветки продуктов. Если немедленное обновление невозможно, стоит рассмотреть временные меры: ограничение числа локальных пользователей с доступом к системе, мониторинг потребления памяти процессами SSSD и NSS-ответчика, а также настройку автоматического перезапуска службы при превышении пороговых значений памяти. Дополнительно можно применять средства контроля ресурсов (например, cgroup), ограничивающие максимальный объём памяти, доступный службе. В контейнерных окружениях, где используется OpenShift Container Platform 4, целесообразно ограничить число непривилегированных процессов, способных инициировать интенсивные NSS-запросы, и следить за аномальной активностью внутри контейнеров. Итог: CVE-2026-104041 — это локальная уязвимость отказа в обслуживании среднего уровня опасности, вызванная отсутствием ограничения на размер негативного кэша в SSSD. Наиболее надёжный способ защиты — своевременная установка официальных обновлений; в качестве дополнительной меры помогает ограничение ресурсов службы и мониторинг её состояния.Источник: CVE Project (cvelistV5)